Vault集成可替代明文配置，实现敏感凭证集中安全存储与动态分发：一、启用Vault服务并初始化Root Token；二、配置Hermes Agent使用Vault Agent Auto-Auth；三、调用Vault动态Secrets；四、启用Vault审计日志并绑定Hermes Agent身份；五、Kubernetes环境下配置Vault Sidecar容器。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您在部署Hermes Agent后需保障敏感凭证（如API Key、数据库密码、模型密钥）的集中安全存储与动态分发，则Vault集成可替代明文配置，防止密钥硬编码或泄露。以下是实现Vault与Hermes Agent安全联动的具体操作路径：
一、启用Vault服务并初始化Root Token
Vault作为可信密钥管理中枢，必须先完成服务启动与初始根权限建立，为后续Hermes Agent认证提供可信入口点。
1、下载并启动Vault Dev模式（仅限测试环境验证流程）：
执行 vault server -dev -dev-root-token-id="root"，记录控制台输出的Unseal Key与Root Token。
2、设置环境变量指向本地Vault实例：
执行 export VAULT_ADDR=http://127.0.0.1:8200 与 export VAULT_TOKEN=root。
3、启用Key-Value v2引擎并写入首条密钥：
执行 vault secrets enable -version=2 kv-v2；
执行 vault kv put kv-v2/hermes/llm/api_key value="sk-xxx"。
二、配置Hermes Agent使用Vault Agent Auto-Auth
通过Vault Agent守护进程实现自动身份认证与令牌续期，避免在Hermes Agent配置中暴露静态Token，消除长期凭证失效风险。
1、创建Auto-Auth配置文件 vault-agent.hcl，内容包含JWT或AppRole认证方式声明。
2、在Hermes Agent所在主机部署Vault Agent：
执行 vault agent -config=vault-agent.hcl -log-level=info，确保其持续运行并监听指定监听地址。
3、修改Hermes Agent启动参数，注入Vault Agent提供的临时令牌路径：
在 hermes setup 或环境变量中设置 VAULT_TOKEN_PATH=/home/hermes/.vault-token。
三、在Hermes Agent中调用Vault动态Secrets
利用Vault Transit引擎或Database Secrets引擎生成一次性凭据，使Hermes Agent每次执行高危操作（如数据库连接、模型调用）时获取全新、短生命周期密钥，大幅压缩攻击窗口。
1、启用Transit引擎：
执行 vault secrets enable transit；
创建加密密钥：
执行 vault write -f transit/keys/hermes-model-key。
2、在Hermes Agent配置中引用Vault路径而非明文值：
将原配置项 LLM_API_KEY: "sk-xxx" 替换为 LLM_API_KEY: "{{ vault 'kv-v2/hermes/llm/api_key' }}"（需Hermes支持模板解析）。
3、若Hermes Agent不支持原生Vault模板，则改用CLI方式在启动前注入：
执行 export LLM_API_KEY=$(vault kv get -field=value kv-v2/hermes/llm/api_key)；
再执行 hermes start。
四、启用Vault审计日志并绑定Hermes Agent身份
通过Vault审计日志精确追踪每一次密钥读取行为，将请求来源与Hermes Agent实例唯一标识（如主机名、标签）强关联，实现操作可追溯、责任可定位。
1、启用文件审计设备：
执行 vault audit enable file file_path=/var/log/vault-audit.log。
2、为Hermes Agent分配专用策略与Token角色：
编写策略文件 hermes-policy.hcl，限定仅允许读取 kv-v2/hermes/* 路径；
执行 vault policy write hermes-agent hermes-policy.hcl。
3、创建AppRole并绑定该策略：
执行 vault write auth/approle/role/hermes-agent policies="hermes-agent"；
获取RoleID与SecretID，在Hermes Agent配置中使用该凭证对Vault进行身份认证。
五、配置Vault Sidecar容器（Kubernetes环境）
在云原生部署场景下，将Vault作为Sidecar容器与Hermes Agent Pod共置，通过localhost网络共享密钥，避免跨网络传输敏感信息，同时利用Kubernetes Service Account自动绑定Vault策略。
1、在Hermes Agent Deployment YAML中添加Vault Agent容器定义：
镜像使用 vault:1.15.4，挂载配置文件与空目录用于token存储。
2、配置Vault Agent以Kubernetes Auth方式登录：
在 vault-agent.hcl 中启用 auth "kubernetes"，指定Service Account名称与JWT路径 /var/run/secrets/kubernetes.io/serviceaccount/token。
3、设置initContainer预检Vault就绪状态：
添加busybox initContainer，循环调用 curl -f http://localhost:8200/v1/sys/health，确保Vault Agent已启动并认证成功后再启动Hermes Agent主容器。
